W32/Yaha.L (K,M). Ataca antivirus y cortafuegos
http://www.vsantivirus.com/yaha-l.htm

Cuando se ejecuta, el gusano se copia a si mismo en la carpeta System de Windows con los siguientes nombres:

C:\Windows\System\mstask32.exe
C:\Windows\System\exeLoader.exe

Los archivos se crean con los atributos de ocultos (+H)

En todos los casos, "C:\Windows" y "C:\Windows\System" pueden variar de acuerdo al sistema operativo instalado (con esos nombres por defecto en Windows 9x/ME, como "C:\WinNT", "C:\WinNT\System32" en Windows NT/2000 y "C:\Windows\System32" en Windows XP).

También se modifica el registro para que el gusano se ejecute automáticamente cada vez que Windows se reinicia:

HKLM\Software\Microsoft\Windows\CurrentVersion\Run
MicrosoftServiceManager = C:\WINDOWS\SYSTEM\mstask32.exe

HKLM\Software\Microsoft\Windows\CurrentVersion\RunServices
MicrosoftServiceManager = C:\WINDOWS\SYSTEM\mstask32.exe

También modifica las siguientes claves:

HKEY_CLASSES_ROOT\exefile\shell\open\command
(Predeterminado) = "C:\Windows\System\exeLoader.exe" %1 %*"

Esto hace que se ejecute el virus cada vez que una aplicación ejecutable es llamada por el sistema. Esto dificulta la limpieza del virus, ya que cualquier programa que se ejecute, incluido el antivirus, lanza al gusano en memoria.

El gusano tiene una rutina maliciosa que se ejecuta si el día es miércoles.

En ese caso, cambia la página de inicio del Internet Explorer modificando la siguiente clave:

HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Main
Start Page = http://www.indiansnakes.cjb.net

También se copia a todas las unidades de red con recursos compartidos, copiando en ellas el archivo "reg32.exe", una copia del propio gusano.

En Windows 2000 y XP, también se copia en la siguiente carpeta como "MSRegScanner.exe", con los atributos de solo lectura (+R), con lo que impide ser borrado si antes no se cambian estos:

C:\Documents and Settings\All Users\Menú Inicio\Programas\Inicio

El gusano intenta acabar con una extensa lista de programas de seguridad:

ALERTSVC
AMON.EXE
ANTIVIR
APACHE.EXE
ATRACK
AVCONSOL
AVP.EXE
AVP32
AVPCC.EXE
AVPM.EXE
AVSYNMGR
CFINET
CFINET32
ESAFE.EXE
F-PROT95
FP-WIN
FRW.EXE
F-STOPW
IAMAPP
IAMSERV.EXE
ICMON
IOMON98
LOCKDOWN2000
LOCKDOWNADVANCED
LUALL
LUCOMSERVER
MCAFEE
NAVAPSVC
NAVAPW32
NAVLU32
NAVRUNR
NAVW32
NAVWNT
NISSERV
NISUM
NMAIN
NORTON
NSCHED32
NVC95
PCCIOMON
PCCMAIN
PCCWIN98
PCFWALLICON
POP3TRAP
PVIEW95
RESCUE32
SAFEWEB
SCAN32
SYMPROXYSVC
TDS2-98
TDS2-NT
VETTRAY
VSECOMR
VSHWIN32
VSSTAT
WEBSCANX
WEBTRAP
ZONEALARM

El gusano obtiene las direcciones a las que se envía de la libreta de Windows (WAB), todos los contactos, caché de Messenger, Yahoo Pager, páginas Web, etc.

Selecciona al azar o inventa direcciones para el campo "reply-to" de los mensajes (dirección de respuesta para el mensaje). También inventa nombres de remitentes, asuntos y nombres de adjuntos.


Para eliminar el virus de un sistema infectado

1. Actualice sus antivirus con las últimas definiciones, luego reinicie Windows en modo a prueba de fallos, como se indica en este artículo:

VSantivirus No. 499 - 19/nov/01
Cómo iniciar su computadora en Modo a prueba de fallos.
http://www.vsantivirus.com/faq-modo-fallo.htm

2. Ejecute sus antivirus en modo escaneo, revisando todos sus discos duros

3. Borre los archivos detectados como infectados


Modificación del registro

Es necesario renombrar el archivo REGEDIT.EXE como REGEDIT.COM, ya que la extensión .EXE está asociada al gusano, y éste se volvería a cargar si ejecutamos REGEDIT en forma normal.

1. Desde Inicio, Ejecutar, teclee lo siguiente (puede usar cortar y pegar) y pulse Enter:

Command /c Rename C:\Windows\Regedit.exe Regedit.com

Si Windows no está instalado en "C:\Windows", debe cambiar esta referencia (Ej.: "C:\Nombre\Regedit.exe", etc.).

2. Desde Inicio, Ejecutar, teclee "Regedit.com" y pulse Enter

3. En el panel izquierdo del editor de registro de Windows, pinche en el signo "+" hasta abrir la siguiente rama:

HKEY_CLASSES_ROOT
\exefile
\shell
\open
\command

4. Pinche sobre la carpeta "command". En el panel de la derecha debería ver algo como:

(Predeterminado) = "C:\Windows\System\exeLoader.exe" "%1" %*"

5. Pinche sobre "(Predeterminado)" y en Información del valor, debe borrar el cargador: (C:\Windows\System\exeLoader.exe) y dejar solo esto (comillas, porcentaje, número uno, comillas, espacio, porcentaje, asterisco):

(Predeterminado) = "%1" %*

6. En el panel izquierdo del editor, pinche en el signo "+" hasta abrir la siguiente rama:

HKEY_LOCAL_MACHINE
\SOFTWARE
\Microsoft
\Windows
\CurrentVersion
\Run

7. Pinche en la carpeta "Run" y en el panel de la derecha busque y borre la siguiente entrada:

MicrosoftServiceManager

8. Repita los pasos 6 y 7 (pinchando en "RunServices") con la siguiente rama del registro:

HKEY_LOCAL_MACHINE
\SOFTWARE
\Microsoft
\Windows
\CurrentVersion
\RunServices

9. En el panel izquierdo del editor, pinche en el signo "+" hasta abrir la siguiente rama:

HKEY_LOCAL_MACHINE
\Software
\Microsoft
\Windows
\CurrentVersion
\ZoneCheck

10. Pinche en la carpeta "ZoneCheck" y bórrela.

11. En el panel izquierdo del editor, pinche en el signo "+" hasta abrir la siguiente rama:

HKEY_LOCAL_MACHINE
\Software
\Microsoft

12. Pinche en la carpeta "Microsoft" y borre las siguientes carpetas en la misma ventana:

WinVer
Snakes

13. Use "Registro", "Salir" para salir del editor y confirmar los cambios.

14. Reinicie su computadora (Inicio, Apagar el sistema, Reiniciar).

15. Ejecute uno o más antivirus actualizados.


Información adicional

Cambiar la página de inicio del Internet Explorer

Cambie la página de inicio del Internet Explorer desde Herramientas, Opciones de Internet, General, Página de inicio, por una de su preferencia. O navegue hacia una página de su agrado, pinche en Herramientas, Opciones de Internet, General, y finalmente pinche en "Usar actual".


Mostrar las extensiones verdaderas de los archivos

Para poder ver las extensiones verdaderas de los archivos y además visualizar aquellos con atributos de "Oculto", proceda así:

1. Ejecute el Explorador de Windows

2. Seleccione el menú 'Ver' (Windows 95/98/NT) o el menú 'Herramientas' (Windows Me/2000/XP), y pinche en 'Opciones' u 'Opciones de carpetas'.

3. Seleccione la lengüeta 'Ver'.

4. DESMARQUE la opción "Ocultar extensiones para los tipos de archivos conocidos" o similar.

5. En Windows 95/NT, MARQUE la opción "Mostrar todos los archivos y carpetas ocultos" o similar.

En Windows 98, bajo 'Archivos ocultos', MARQUE 'Mostrar todos los archivos'.

En Windows Me/2000/XP, en 'Archivos y carpetas ocultos', MARQUE 'Mostrar todos los archivos y carpetas ocultos' y DESMARQUE 'Ocultar archivos protegidos del sistema operativo'.

6. Pinche en 'Aplicar' y en 'Aceptar'.


Limpieza de virus en Windows Me y XP

Si el sistema operativo instalado es Windows Me o Windows XP, para poder eliminar correctamente este virus de su computadora, deberá deshabilitar antes de cualquier acción, la herramienta "Restaurar sistema" como se indica en estos artículos:

Limpieza de virus en Windows Me
http://www.vsantivirus.com/faq-winme.htm

Limpieza de virus en Windows XP
http://www.vsantivirus.com/faq-winxp.htm



(c) Video Soft - http://www.videosoft.net.uy
(c) VSAntivirus - http://www.vsantivirus.com